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CPU 心 片 硬件 安全 系统 解决 方案 


刘 雷 波 
清华 大 学 微 电 子 学 研究 所 
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一 、 拉 术 表 景 

二 、 我 国 现 有 AZXd 方 案 

三 、CPU 硬 件 安全 动态 监测 管控 扩 林 
四 、 技 术 应 用 探讨 


五 、 总 结 
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一 、 技 术 育 景 - 我 国 通用 服务 器 CPU 现状 
。 我 国 通 用 服务 器 CPU 
。 人 存 量 >1500 万 台 ， 年 均 增 量 ~250 万 台 ( 近 4 年 ) 
。 >959% 为 X86，X86 中 >999%6 为 Intel 至 强 (Xeon) 


。 全 球 通用 服务 器 CPU >959% 为 X86 


359% 
30% ii 1 8B 
25% 
20% 
159%6 
109%6 


5% 
~1B 
09%6 
0 


加 辐 加 瑟 台 钙 辐 二 基 二 芭 运 过 到 运 Q QI Ql Q3 Ql Q3 QI Q3 QI Q3 QI Q3 QI Q3 Ql Qi Ql Q3 Q Q3 Ql 
并 中 DD 一 omD 上 on OD 下 oo 20092009 2010 2010 2011 2011 2012 2012 2013 2013 2014 2014 2015 2015 2016 2016 2017 2017 2018 2018 2019 


上 下 | 服务 器 市 场 出 货 量 (万 人 台 ) -一 一 同比 增 速 


2003-2018 中 国 服务 器 出 货 量 , IDC, 2019 2009- RE 关 二 汪 生 汪 IDC, 2019 
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、 技 术 表 景 - ne 


Tooooooooovooooooooooooooooet 


二 
人 > 现代 芯片 : 借助 社会 化 大 分 工 ， 需 遍布 全 球 
现代 芯片 : 硬件 木马 : 的 成 百 上 干 家 企业 参与 和 协作 才能 完成 。 


数 十 亿 到 数 百 亿 颗 晶体 管 数 十 到 数 百 颗 晶体 管 
查找 极其 困难 抽检 芯片 源码 、 监 控 生 产 过 程 不 可 行 


。 恶意 硬件 (木马 /后 门 ) 、 硬 件 漏洞 、 硬 件 前 门 等 
e。 ，” 疝 无 有 效 手段 能 够 进行 检测 和 抵御 


Ap 全 《 请 Y 
Intel ME 实现 在 主板 PCH 世 片 内 部 全 


- Vicoooge SpaEtre 


AAA5e 2 到 
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、 技 术 背 景 - CPU 芯片 已 知 硬件 安全 问题 
本 硬件 漏洞 

。 熔断 (Meltdown) 局 、 幽 灵 (Spectre) 所 及 其 变种 

。 其 他 软件 侧 信 道 攻击 ， 如 Branch scopeBl TLBleed 员 ,VolJokeyDl 


。 硬件 前 门 (被 利用 后 可 能 成 为 恶意 硬件 ) 


。 处 理 器 微 码 ， 如 Intel，AMD 
。 主动 管理 子 系统 ， 如 Intel| ME，AMD PSP 


上 一 局 Ra 
。 恶意 硬件 (木马 /后 门 ) 
。 有 相关 报道 负 ， 疝 无 我 们 可 复 现 的 实例 
[1] Meltdown, https:Wmeltdownattack.comy [2] Spectre Attacks.… https:Mmeltdownattack.comy/ 
[3] BranchScope: A New..., ASPLOS' 18, March 24-28, 2018 [4] Translation Leak-aside..…， USENIX Security Symposium, 2018 
[6] Breakthrough.… CHES 2012.14th international workshop， 2012 


1 eee。 
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财务 系 
虚 机 和 


内 网 普通 用 户 获取 高 权限 数据 SPECTRE  。 wsroown 手机 端 个 人 隐私 溃 
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、 技 术 育 景 - 熔断 、 幽 灵 原理 分 析 
。 由 CPU 技术 原理 引发 的 硬件 漏洞 


。 Tetry: 


. moVv al，byte [rcx] 
shl zax，0xc 异常 被 执行 前 ，line 7 ;以 下 指令 不 会 被 提交 
- jz retry 有 机 会 完成 访 存 ， 从 ”; CPU 将 转 入 异常 处 理 


- mov rzbx，qword [rbx + rax] 而 改变 Cache 布 局 


熔断 攻击 (概念 原型 代码 ) 


*。”x 先 晤 什 为 较 小 数 ， 反 复 训练 分 支 预测 器 

* ”使 用 特定 操作 ， 令 条 件 判断 执行 时 延 变 长 
* ”保证 probe 数 组 被 消除 出 Cache 

"保证 目标 数据 已 加 载 在 Cache 中 

* xx 山 值 为 大 数 ， 令 array[x] 指向 目标 数据 


1. if (x < array_size) 预 凤 条 件 为 真 判断 语句 提交 ， 条 件 为 假 


有 机 会 执行 访 存 ， 从 而 
2.Y = probe[array[x] * 256] 改变 Cache 布 局 


币 结 构 状 态 改变 


幽灵 攻击 (概念 原型 代码 ) 
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。 证 解 熔断 攻击 


本 ea oil2[3|4|[5[617[18|19elio1112113[14135 
> ，10，11，12 得 以 DRF Aulwslco 
全 和 全 DI 
] G 二 六 二 E 8 三 所 壮 名 由 二 中 品 
上 RN 守 昌 处 于 ， 和 , 中 刷 更 得 后 续 的 指 是 

5 ，%raxX FE | DE | RN 

6 141, %rax FE | DE | RN DI | RF |ALU1 WB | CO 

7 $0x141, %Wrax FE | DE | RN DI | RF |IALU1 WB | CO 

8 OVb (rcx), al FE | DE | RN | DI | RF |bLSU 

FE | DE | RN DI | RF jAL 
网 FE | DE | RN DI | RF |ALU2| WB 
FE | DE | RN DI | RF |ALU2| WB 
FE | DE | RN DI | RF 

FE: 取 指令 
DE: 指 令 解 码 
RN: 寄 存 器 重 命名 

@O) 权限 检 和 下 V 于 二 PU 人 使 用 莘 侈 异 量 忆 2 

门 首 另 条 条 局 已 包 诈 1 吕 

二 eorqer bufe 所 令 8 们 秆 
完 哩 。 由 于 扎 令 0-7 使 用 和 氢 令 8 相同 的 目的 寄 仔 品 
口 术 三 6 月 三 征 听 晶 JJ 让 月 
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、 技 术 育 景 - 熔断 、 幽 灵 原理 分 析 
。 由 CPU 技术 原理 引发 的 硬件 漏洞 


。 非 程序 员 的 下 忽 
。 软件 无 足够 信息 进行 有 效 甄 别 及 防范 |j :> Rn 
。 软件 不 了 解 CPU 部 分 重要 硬件 行为 


3. retry: 


7 了 7. mov bx，dqword [rzbx + ax] 


熔断 攻击 (概念 RD) 


。 执 行 结果 
*。”x 先 时 估 为 较 小 数 ， 反 复 训练 分 支 预测 器 
* ”使 用 特定 操作 ， 令 条 件 判 断 执行 时 延 变 长 
* 保证 probe 数 组 被 清除 出 Cache 
*， ”保证 目标 数据 已 加 我 在 Cache 中 
*。 xy 赋 值 为 大 数 ， 令 array[x] 指向 目标 数据 


1. if (x < array_size) 预测 条 件 为 真 


有 机 会 执行 访 存 ， 从 而 条 件 为 假 ， 不 会 得 记 
2.yY = probe[array[x] * 256] 改变 Cache 布 局 _ _ 


微 结 松 状 太 改 变 


幽灵 攻击 〈 概 念 原型 代码 ) 
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一 、 抠 木 育 景 - 熔断 、 幽 灵 原 理 分 析 


| 
软件 可 见 | 软件 不 可 见 软件 可 见 


TAG and VALUE Broadcast Bus 


S 
C 
H 
了 
D 
U 
L 
E 


in order out of order in order 


处 理 器 乱 执 行 示意 


NA Tree 四 
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、 技 术 背 景 - 熔断 、 幽 灵 原 理 分 析 
。 由 CPU 技术 原理 引发 的 硬件 漏洞 
。 非 程序 员 的 蚊 忽 、， 
。 软 件 无 足够 信息 进行 有 效 甄别 及 防范 和 OO 


@ 立 R ALAN Tiiov rzbx，dword [TbX 二 ax] ， 而 改变 Cache 布 局 
次 作 下 了 解 P 部 分 要 硬件 行为 :WSI 


。 解决 问题 需 彻底 改变 现 有 CPU 架构 。 | 2 攻 e 
"保证 Probe 数 组 被 清除 出 Cache 
。 CPU 性 能 损失 无 法 接受 aa 
。 禁用 推测 / 乱 序 等 技术 cea seo 


。 对 推测 执行 / 乱 序 等 进行 权限 检查 | 户 汪 Peeerem ze 
sz 人 站、 
。 重新 设计 Cache 幽灵 攻击 (概念 原型 代码 ) 1 


D19 
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一 、 技 术 背 景 - 熔断 、 幽 灵 的 变种 及 其 持续 演进 0 


ia-place (1P) vs, ort-oF Piace (OP) 


DPIESITaD2D2S 


Picroarcpirec- 


tai DuFer 


Ju 抚 rzlrmDPpe 


局 


[1] Gruss, et al. A Systematic Evaluation of Transient Execution Attacks and Defenses. 28th USENIX Security Symposium 2019. 
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、 技 术 育 景 - 硬件 漏洞 ( 非 熔 断 、 幽 灵 攻 击 原 理 ) 
e。Branch Scope (ASPLOS 2018) 


。 旁 路 攻击 CPU 的 分 支 预测 器 
。 泄露 SGX (软件 保护 扩展 ) 防护 的 数据 


e。 TLBleed (USENIX Security 2018) 
。 旁 路 攻击 CPU 的 TLB( 地 址 翻译 缓冲 ) 
。 破坏 进程 间隔 离 ， 造 成 数据 泄露 

e。 VoljJokey (CC9 2019) 


。 旁 路 攻击 CPU 的 驱动 电压 
。 泄露 重要 数据 
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、 技 术 背 景 - CPU 芯片 已 知 硬件 安全 问题 


。 硬件 前 [ 门 (被 利用 后 可 能 成 为 恶意 硬件 ) 
。 处 理 器 微 码 ， 如 Intel|，AMD 
。 主动 管理 子 系统 ， 如 Intel ME，AMD PSP 


@ 
[1] Meltdownm, https:MWmeltdownattack.cory/ [2] Spectre Attacks.… https:WVmeltdownattack.cormy/ 
[3] Branchscope: A New.… ASPLOS' 18, March 24-28, 2018 [4] Translation Leak-aside.… USENIX Security Symposium, 2018 
[5] CCS 2019 [6] Breakthrough.… CHES 2012.14th international worksholg, 2012 
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一 、 技 术 表 景 - 硬件 前 门 〈 处 理 器 微 码 ) 
。 微 码 (Intel|、AMD ) 
。 厂商 预 留 ， 不 公开 

。 用 于 硬件 维护 与 升级 

。 人 性 能 提升 的 重要 手段 

。 可 改变 处 理 器 指令 行为 


硬件 控制 信号 


硬件 控制 信号 中 


硬件 控制 信号 


还 草 
微 码 

有 转 存 敏 感 数据 
微 码 微 控 作 1 非法 访问 内 存 


族 W 一 
指令 1 一 四》 控制 一 本 > HE 一 国 秘密 传 痊 信息 
单元 全 强制 挂 起 CPU 
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、 技 术 表 景 - 硬件 前 门 (主动 管理 子 系统 ) 


。 主动 党 理子 系统 (ME、PSP) 
。 厂商 预 留 、 不 公开 
。 绕 过 CPU， 直 接 访 问 内 人 存 资源 


Mark Ermolov 
Maxim ceoryachy 


blackhat ET 


蕊 员 户 口 户 启 伺 台 1 去 


口 蕊 蕊 EM 已 E 户 马 一 忆 己 口 1 二 
EX 局 L LDONDON，UK 


How to Hack aa Turned-off 
Computer or Running 
Unsigned Code in 

Intel Management Engine 


要 m 互 HEEU 配 LACK HAT EVENT 


可 通过 ME 攻击 一 台 已 关闭 的 电脑 : ”完成 局 动 ， 
远程 控制 等 一 系列 操作 


[TI 
主板 PCH 芯 片 (ME 内 谋 其 中 ) 

子 系统 前 门 的 危害 

。 电脑 关闭 ， 仍 可 被 远程 控制 
。 软件 手段 无 法 察觉 
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本 CPU 芯片 已 知 硬件 安全 问题 


@ 
。 炊 氏 册 医 D] 及 其 变种 
e 三 牛人 信和 进攻 击 ， 允 
@ 
e@ 十 床 c 
e 于 于 e 


。 恶意 硬件 (木马 /后 门 ) 
。 有 相关 报道 由 ， 尚 无 我 们 可 复 现 的 实例 


[2] Spectre Attacks.…, https:WVmeltdownattack.cormy/ 
[4] Translation Leak-aside...，USENIX Security Symposium, 2018 
[6] Breakthrough.… CHES 2012.14th international workshap, 2012 


[1] Meltdownm, https:MWmeltdownattack.corm/ 
[3] Branchscope: A New.… ASPLOS'” 18, March 24-28, 2018 


[5] CCS 2019 
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一 、 抠 木 育 景 - 恶意 硬件 (木马 、 后 门 ) 
@ 首 个 公开 报道 的 直 实 必 片 中 的 木马 Breakthrough silicon scanning discovers 


backdoor in military chip 
艺 一 十 二 
。 苗 用 FPGA 心 片 
Sergei Skorobogatovl and Christopher Woods2 


。 与 密码 运算 相关 的 重要 数据 遭 汇 露 wesssvaame ae caaa 


Sps32Qcam.ac.uk 
2 Quo Vadis Labs, London，UK 
chris@quovadislabs .com 


Abstract. This paper is a short summary of the first real world de- 
tection of a backdoor in a military grade FPGA. Using an innovative 
patented technique we were able to detect and analyse in the first doc- 
Umented case of its kind, a backdoor inserted into the Actel/Microsemi 
ProASIC3 chips for accessing FPGA configuration. The backdoor was 
found amongst additional JTAG functionality and exists on the silicon 
itself 过 was not Present in any firmware loaded onto the chip. Using 
Pipeline Emission Analysis (PEA)，our pioneered technique，we were 
able to extract the secret key to activate the backdoor, as well as other 
Sectrity keys such as the AES and the Passkey. This way an attacker 
can extract all the configuration data from the chip, reprogram crypto 
and access kevs, modifv low-level Silicon features，access Unencrypted 


2012 年 ， 剑 桥 大 学 站 
恶意 硬件 原型 验证 板 [1] Breakthrough silicon scanning discovers backdoor in military chip， 本 2012 
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、 技 术 青 景 - 总 结 


。 我 国 服务 器 CPU 必 片 在 较 长 一 段 时 期 内 主要 依赖 进口 


进口 服务 器 CPU 必 片 的 典型 安全 特征 
1、 黑 盒 (封闭 好 的 心 片 或 管 心 ) 
。 使 用 者 不 掌握 实现 细节 
。 使 用 者 不 掌握 检测 手段 


2、 人 存 有 硬件 安全 隐患 

。 严重 程度 未 知 

。 大 多 数 攻击 上 友 生 在 商业 部 署 后 
。 软件 手段 无 法 单独 解决 
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一 、 技 术 表 景 

二 、 我 国 现 有 AZXd 方 案 

三 、CPU 和 硬件 安全 动态 监测 售 控 技术 
四 、 拉 术 应 用 探讨 


五 、 总 绪 
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二 、 我 国 现 有 应 对 方案 ” 软件 安全 与 硬件 安全 的 边界 


。 软件 安全 
1 ldm  rl-r15(r0) 1 addi r0, 32 1 ldm rr1-r152,(r0) 
2 add ro, ri 2 ldm  r1-r15,(r0O) 2 addl ro0, 36 
3 addl ro, 28 3 addi ro, 28 3 addl ro, 28 


捐 令 本 身 被 自 改 执行 执行 顺序 被 自 改 指令 执行 环境 被 自 改 ， 如 寄存 
器 、 人 存储器、 立即 数 被 算 改 


。 硬件 安全 : 指 令 语 层 和 硬件 行为 被 复 改 ， 如 输出 信号 被 算 改 


Pre gf 人 [个 
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二 、 我 国 现 有 应 对 方案 - 软件 安全 与 硬件 安全 的 边界 


1 操作 码 操作 数 
2 操作 码 操作 数 


3 操作 码 操作 数 上 9》 


4 操作 码 操作 数 
2 操作 码 操作 数 


正 芝 指令 


CPU 必 片 输出 信号 : 汪 
意 硬 件 被 触发 ， 既 定 功 
能 正确 ， 但 新 增 一 系列 
非 预期 输出 信和 号。 


Shu Eee 


ee CPU 芯片 输出 信号 : 恶意 硬件 未 被 触 
必 卢 岂 亚 总 硬 伯 发 ， 输 出 信号 正确 ， 既 定 功能 正确 


TREE 有 
软件 安全 手段 2 无 法 查 出 该 类 问题 。 22 
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二 、 我 国 现 有 应 对 方案 - 软件 安全 与 硬件 安全 的 边界 
用 户 意图 用 户 意图 


_ IIrql27: 
/* RARAllocate space for all registers +*/ 

SUbi 下 目 7， 汉 之 

SUbi 0 2 

Stm 开 荆 三 正 了 号 《DO) 7 

/ /====== 一 一 一 Change sdqio isr to Your own int 软 
户 ]JsLri Iraq_tb /* exCeption VSR.*/ 
代 /* Testore all the regs */ 本 

ladm ”rrl-r15， (rz0) 女 
但 aaddqi 正和 己 忆 

adai r0，28 全 

工 七 e 
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二 、 我 国 现 有 应 对 方 委 - 两 个 需要 回答 的 重要 问题 
。 CPU 心 片 中 物理 信号 的 数量 与 变化 空间 极 大 ， 难 以 穷 举 
。 是 否 符合 预期 的 参照 依据 是 什么 ? 
。 心 片 功能 测试 、 可 靠 性 测试 等 手段 能 否 甄别 ? 


。 CPU 芯片 中 的 物理 信号 符合 预期 ， 就 不 存在 硬件 安全 问题 吗 ? 
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二 、 我 国 现 有 应 对 方案 


CPU 商业 部 署 前 CPU 商业 部 署 后 


1、 代 码 和 流程 审查 


3、 固 件 验证 〈 防 纂 改 、 来 源 验证 等 
2、 剖 片 检 测 ， 反 向 分 析 二 
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二 、 我 国 现 有 应 对 方案 - 部 署 前 检测 : 剖 片 /逆向 分 析 01D2] 


管 心 


心 片 照 及 电路 


问题 : @ 对 硬件 安全 威胁 的 先 验 知 识 非常 有 限 
@) 工程 上 难以 实现 


[1] 集成 电路 心 片 安全 隐患 检测 技术 ， 半 导体 技术 第 32 卷 第 12 期 ，2007 
[2] 一 种 基于 心 片 解剖 照片 的 |P 核 侵权 鉴定 方法 ， 第 十 六 届 计 算 机 工程 与 工艺 年 会 蜂 第 二 届 微 处 理 器 技术 论坛 论文 集 ，2012 
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二 、 我 国 现 有 应 对 方案 


CPU 商业 部 署 前 CPU 商业 部 署 后 


、 代 码 和 肖 程 审查 


3、 固 件 验证 ( 防 复 改 、 来 源 验证 
2、 剖 片 检测 ， 反 牛 分 析 网 全 


第 八 届 全 国 网 络 与 信息 安全 防护 峰会 


二 、 我 国 现 有 应 对 方案 - 部 署 后 方法 : 固件 验证 
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。 CPU 启动 时 对 固件 进行 来 源 验证 ， 如 对 固件 证 书 进 行 验 签 
证 书签 发 
服务 器 


。 问题 : 固件 只 是 硬件 安全 威胁 的 冰山 一 角 ， 和 硬件 攻击 很 可 能 是 
在 CPU 正常 运行 时 发 生 。 2 
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二 、 我 国 现 有 应 对 方案 - 总 结 
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二 、 我 国 岗 有 应 yX 方 案 

三 、CPU 硬 件 安全 动态 监测 管控 扩 术 〈DsO) 
四 、 拉 术 应 用 探讨 


五 、 总 绪 
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[1] S. Bhunia, et al， "Hardware Trojan attacks: threat analysis and countermeasures, ”Proceedings of the IEEE, 2014. 
[2] C. Sturton，"FinalFilter Asserting Security Properties of a Processor at Runtime,”IEEE Micro, 2019. 
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三 、CPU 硬 件 安 全 动态 监测 管控 扩 林 
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[1] C. sturton， "FinalFilter Asserting Security Properties of a Processor at Runtime,” IEEE Micro, 2019. 中 
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3.1 技术 原理 - CPU 硬件 安全 动态 监测 管控 技术 
。 CPU 以 图 灵机 模型 为 基础 ， 所 以 : 
(1) CPU 行为 具有 确定 性 
(2) CPU 行为 安全 可 用 等 价 的 图 灵机 模型 进行 等 价 性 检验 


指令 集 设计 


被 检测 CPU 安全 扩展 -图 灵机 模型 35 
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3.1 技术 原理 - CPU 硬件 安全 动态 监测 管控 技术 
。 构建 等 价 图 灵机 模型 是 实现 CPU 硬件 安全 监测 的 关键 


。 软件 侧 信道 安全 。 my 


。 10 输 出 信道 安全 时 指令 状态 + 后 含 全 模型 
。 存储 信道 安全 ” 广 = 二 二 宙 和 di 有 + 中 


行为 级 模型 


图 灵机 模型 级 别 
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3.1 抠 林 原理 - CPU 硬件 安全 动态 监测 管控 技术 
。 等 价 图 灵机 模型 的 实现 是 关键 技 术 难 题 


和 二 。 “可 信和 模型 难 
志 全 [4 二 | 1 
晶体 管 级 模型 | 六 


指令 集 模型 
行为 级 模型 
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3.1 抠 林 原理 - CPU 硬件 安全 动态 监测 管控 技术 
“指令 级 CPU 模型 + 硬件 行为 安全 断言 ”的 动态 监控 近 术 


硬 


件 沁 洞 : 黑 名 单机 制 


指令 状态 + 指令 集 模 型 
输入 输出 数据 ( 白 名 单机 制 |) 


采集 (record) 验证 (validate) 


硬件 森马、 硬件 后 门 、 对 硬件 
前 门 恶意 利用 : 白 名 单机 制 
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3.1 技术 原理 - DSC 技 术 原理 示意 图 


| 控制 | 
由 


报告 硬件 攻击 具体 行为 


对 硬件 采取 反馈 措施 

平 
采集 (record) 验证 (validate) 管控 (control) 
ii 人 II 


有 限 长 度 行为 样本 二 硬件 状态 迁移 过 程 二 
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三 、CPU 和 硬件 安全 动态 监测 管控 技术 
3.1 扩 术 原理 
3.2 工作 流程 
3.3 天 键 扩 术 
3.4 近 术 验证 
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3.2 工作 流程 - CPU 硬件 安全 动态 监测 管控 技术 实现 框架 


基于 1SA 模 型 对 采集 到 的 行为 进行 回放 与 分 析 


基于 安全 断言 对 采集 到 的 行为 进行 判断 
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3.2 工作 流程 - 框架 与 组 件 


了 PU 吕 有 


( 管 心 站 


CPU 。 监测 管控 芯片 
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3.2 工作 流程 - 框架 与 组 件 


殿 


采集 CPU 内 采集 外 部 输入 输 
部 状态 出 信号 


二 商用 CPU 此 二 恒 


人 曾 避 ) | 行为 分 析 层 
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3.3 关键 技术 


为 3、 基 于 CPU 安全 行为 模型 样本 回放 及 非 预期 行为 判断 方法 
行 


4、CPU 硬 件 漏洞 攻击 的 预测 回放 及 检测 
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3.3 关键 技术 
3.4 技术 验证 
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3.4 技术 验证 - 实验 环境 搭建 
。 DSC 原型 验证 系统 : 在 Intel 至 强 处 理 器 上 应 用 DSC 技 术 


Intel 国人 


E Cores 
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3.4 技术 验证 - 实验 环境 搭建 
。 DSC 原 型 验证 系统 


DDR4 DIMM with MTRs 


(ooajaawa0g 
yooloD alsi6 旺 


Industrialj 
2.0 GHz 
24 Cores 
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3.4 技术 验证 - 实验 环境 搭建 
。 关 验 环 境 与 方法 
。 用 至 强 处 理 器 验证 的 理由 : 
sa 最 具有 代表 性 
a 开发 手册 开放 、 完 整 
sm 不 需要 开放 额外 的 接口 
。 详 验 : 
sa 硬件 后 门 攻 击 (硬件 木马 ) 
sa 硬件 漏洞 攻击 
sa 重 件 前 门 攻 击 (非法 微 码 更 新 ) 
sa 硬件 前 门 攻击 (管理 引擎 ) 实验 环境 示意 图 
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3.4 技术 验证 - 硬件 后 门 攻 击 检测 (硬件 木马 ) 
实验 方法 : 硬件 木马 模拟 
@ 硬件 木马 对 外 的 体现 是 某 条 指令 行为 的 非 预期 性 
@ CPU 上 运行 一 条 特定 的 指令 ， 其 输出 作为 硬件 木马 
@ 通过 修改 重 放 模型 中 特殊 指令 的 行为 ， 使 其 与 真实 CPU 行为 不 一 致 
@ 该 指令 一 旦 被 采集 到 ， 经 过 分 析 对 比 就 会 发 现 不 一 致 


汪 二 
样 
窗 
口 


s。 CPU 初始 状态 
es。 Mem/I0 输 入 


修改 指令 | 的 行为 


CPU 模型 
1SA 


RD 的 尾 。 运 行 时 监测 管控 
硬件 木马 模拟 示意 图 
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全、 NN 一 天 
3.4 技术 验证 - 硬件 漏洞 攻击 检测 
实验 方法: 硬件 漏洞 模拟 
。 典型 的 熔断 ， 幽 灵 凤 每 实现 一 次 成 功 攻击 平均 需要 10000 条 以 上 的 指令 
。 实验 简化 为 对 于 攻击 长 度 为 10000 条 指令 的 攻击 序列 ， 捕 获 率 为 多 少 


采 检查 采集 过 程 是 否 完整 包含 了 10000 条 特 
样 丈 指令 的 攻击 序列 

窗 

口 


运行 时 监测 管控 
CPU 芯片 


[1] Meltdownm, https://meltdownattack.com/ 


硬件 漏洞 模拟 示意 图 


[2] Spectre Attacks: Exploiting Speculative Execution, https://meltdownattack.comy/ 
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3.4 技术 验证 - 硬件 前 门 攻 击 抵御 (非法 微 码 更 新 ) 


。 实验 方法 : 
。 删除 操作 系统 已 有 微 码 


。 BIOS 刷 为 较 旧 版 本 (不 包含 最 新 微 码 ) 2 
。 从 Inte| 官 方 下 载 Skylake 最 新 微 码 一 份 Y 
。 复制 一 份 微 码 文件 ， 对 其 中 一 份 进行 签名 
。 使 用 上 述 两 个 微 码 文件 进行 微 码 更 新 y 

。 预期 结果 


。 未 经 过 答 名 的 微 码 在 DC 上 被 拒绝 更 新 
。 经 过 签名 的 微 码 被 成 功 更 新 微 码 更 新 验证 实验 原理 图 
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3.4 技术 验证 - 硬件 前 门 攻击 抵御 (非法 微 码 更 新 ) 


。 实验 结果 : 
。 DSC 平 台 对 未 签名 的 微 码 拒绝 更 新 
。 DSC 平 台 对 经 过 签名 的 密码 成 功 更 新 


攀 Appliations = Places ~ 本 Fi22:26 口 多 由 ~ 本 Applications ”Places ~ 改 区 …- Fri2231 口 愧 由 ~ 
wangwei@locathost/home/wangweiDesktopydemo | wangwei@locathost:/home/wangwei/Desktopldemo 1 
Fie Ed View Search Terminal Hetp Fie Edt View Search Terminal Tabs Hetp 
Wangwel 和 tocathostyheme/wangweUDasktopydema 基 wangwei@localhost/home/wangweUDesktop/demo 天 

rooteLocathost demo]# ./microcode_update.sh 66-55-64-unsigned [264776.632546] CPU6 stig=6x56654，pf=6xl 。revision=9x2666656 

8.113593] atontc64 tesg passed for x86-64 Ptatform with CX8 and with SSE [264776.-637975] microcode: CPUB updated to revislon 6x266665a，date = 2619-91-28 

8.586517】 mousedev; PS/2 mouse device common for atL mice [264779.849792] microcode: CPU1 sig=9x56654，pf=6xl，reviston=9x2899956 

8.596599] microcode: CPU6 sig=6x56654，pf=9xl ，revision=6x2069656 【264776.848805] microcode: CPUL updated to revision 6x260665ae，date = 2619-61-28 

8.596621] microcode: CPU1 56654，pf-@xl ，revision=6x2060656 【254776.848929] microcode: CPU2 sig=6x56654，pf=6xl。revlsion=9x2866656 

9.596642] microcode: CPU2 56654，pf=9xl ，revision=9x29966565 [25654779.848942] microcode: CPU2_updared to_revision 6x299665a，date = 2619-91-28 

6.596662] microcode: CPU3 sig=6x50654，pf=9x1，revision=6x2099956 【26 ARNING! 1o027.47 2019 

BL_S5986961_micrncnda: CPU4A_sia=Bx56654、，nf=Gxl -raovisian=Bx72996656. 【26. 更 SS 2 


WARNINGISat Oct 12 10:25:28 2019 居 [26。 


MICROCODE UPDATE FAILEDI 区 


【264776.849293]】 microcode: CPU7 sig=6x56654，pf=6xl。revlsion=6x2666656 
【264770.849303] microcode: CPU7 updated to revislon 6xX26096655，date = 2619-61-28 


|MICROCODE UPDATE SUCCESSI 


【 
[ 
[ 
[【 
[ 
[【 
【 
[ 
[【 
[ 
[【 
[ 
[【 
[ 
[ 
【 
[ 
[【 
[【 


9.596925]】 microcode: CPU13 sig=8x59654，pf=6xl ，revision=9x2666656 [264776.849393]】 microcode; CPU8 sig=6x56654，pf=xl，reviston=9x2906956 

8.596952] microcode: CPU14 sig=9x56654，pf=9xl，revision=6x2696656 [254779.849465】 microcode; CPU8 updated to revlslon 6x2606658，date = 2619-91-28 

8.596978] microcode: CPU15 sig=6x56654，pf=6x1，revision=9x2606656 【264776.849567]】 microcode: CPU9 sig=6x56654，pPfeexl，revislon=9x26666565 
[ 9.591646】 microcode: Microcode Update Driver: v2.61 <tigranlaivazian,fsnet.co.uk>，pPeter 0ruba [264779.849526】 microcode; CPU9 updated te_ revision 6x299665a，date = 2919-91-28 
[264631.971623] microcode: CPU sig=9x58654，pf=9xl，revision=6x2096056 [264776.849614] microcode: CPU18 s1g=9x56654，pf=8xl。revision=bx2666656 
[264631.971649] microcode: CPUB update to_revision 6x296665a fatted [264779.849627] microcode: CPU16 updated to revision 6x2666653，date = 2919-61-28 
[264631.977845] microcode: CPU1 sigr=gx56654，pf=6xl ，revision=9x26066565 [264779.849724]】 mtfcrocode: CPU11 s19=9x56654，pf=9x1，revision=6x2969956 
[264631 .977859] microcode: CPU1 update to revision 9x266665a faited 【264776.649737] microcode: CPU11 updated to revision 6x2066658，date = 26019-61-28 
[264631.977991] mic rocode: CPU2 sig=9x56654，pf=6xl ，revision=6x2696956 [264776.849776] microcode: CPU12 sl1g=9x560654，pf=6xl。 revlslon=0x26696565 
【264631 .978665] microcode: CPU2 update to revision 6x286605a faited {254776.849789]】 microcode: CPU12 updated to revlslon 9x2966853，date = 2619-61-28 
[264631 .978116] microcode: CPU3 sig=6x56654，pf=6xl ，revision=6x2666656 了 [264776.849829] microcode: CPU13 sigv6x56654，pf=9x1，revision=6x2669656 
【264631.978128] mtcrocode: CPU3 update to_revision 6x286665a faited [264776.849846] microcode: CPU13 updated to revislon 6x2666658，date = 2919-61-28 
[264631.978161] microcode: CPU4 sig=9x56654，pf=gxl，revision=9x2696656 [264779.849879】 microcode: CPU14 slg=6x58654，pf=Bx1，revislion=9x2669655 
[264631.978171] microcode: CPU4 update to revision 9x266695a faited [254776.849891] microcode:; CPU14 updated to revision 9x296965a，date = 2919-61-28 
[264631 .978214] microcode: CPU5 sig=8x568654，pf=6xl，revision=9x2669655 【264776.849993] microcode: CPU15 sigsbx560654，pf=s6xl。，revisionsbx2666656 
[264631 .978224] microcode: CPU5 Update to revision 9x266865a faited 【264776.856665] microcode: CPU15 updated to revislon 9x2666653a，date = 2619-61-28 
[264631.978323] microcode; CPU6 sig=6x50554，pf=6xl，revision=6x2966656 [rooteLocathost dono]# 四 | 


国 seceoeenenmom 1/4 思 
未 经 签名 的 微 码 更 新 失败 经 签名 的 微 码 更 新 成 功 
结论 : 可 100” 拒 绝 未 授权 的 微 码 更 新 和 
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一 、 技 术 表 景 

二 、 我 国 现 有 应 六 

三 、CPU 和 硬件 安全 动态 监测 售 控 技术 
四 、 技 术 应 用 探讨 

五 、 总 结 


第 八 届 全 国 网 络 与 信息 安全 防护 峰会 
四 、 技 木 应 用 探讨 
作为 我 国 现 有 安全 体系 的 补充 和 折 展 


商业 部 署 前 商业 部 署 后 


部 署 于 国家 权威 检测 机 构 中 部 署 于 开放 市 场 的 商用 服务 器 中 


。 CPU 安全 检测 平台 。 存量 和 增 量 问题 均 有 考虑 


上 办 


第 八 届 全 国 网 络 与 信息 安全 防护 峰会 


四 、 技 术 应 用 探讨 - 部 署 于 开放 市 场 商用 服务 器 中 


恶意 利用 


爹 测 (软件 + 硬件 ) 


。 建立 国家 硬件 安全 问题 数据 库 
。 构建 全 国 性 的 硬件 风险 预警 和 抵御 机 制 
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四 、 技 术 应 用 探讨 - 解决 我 国 已 有 1500 万 台 服 务 器 安全 问题 


。 推算 结果 : 部 署 30 万 台 特 殊 服务 器 ， 单 次 攻击 检 出 率 
99.89%， 性 能 损失 0.989% 
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动态 可 重 构 芯片 


功能 : 监测 控制 CPU 行为 
工艺 : 台积电 28 nm 
面积 : 15 x 7 mm 
频率 : 1.0 GHz 
峰值 功 耗 : 15 W 


辽 Reconfigurable 
Logic Array 
Reconfigurablje 
Processor 
hcController 


Data Analyzing Buffers 


ss 八 -aa Uso- 


接口 扫描 芯片 面积 : 15 x 20 mm 


功能 : 外 设 通 信 追 踪 ”频率 : 0.5 GHz 
工艺 : 台积电 28 nm ”峰值 功 耗 : 40 W 


PCle upstream ports 


Data Buffers 


PCle downstream ports 


和 
要 ” 轩 傅 儿 机 机 本 机 本 机 人 全 年 全 生生 


高 性 能 商用 服务 器 : 联想 SR651、 长 城 GW920、 新 华 三 R4900 
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四 、 技 术 应 用 探讨 - 研制 检测 仪器 部 署 于 国家 权威 检测 机 构 
。 CPU 芯片 商业 部 署 前 的 硬件 安全 威胁 检测 
ee 签名 发 布 


的 -本 


竺 检测 CPU DSsC 安 全 组 件 


检测 结果 
CPU 安全 性 报告 


签名 微 码 


CPU 安全 检测 平台 


有 录 国 家 权威 检测 中 心 


微 码 安全 性 报告 
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四 、 技 术 应 用 探讨 


作为 我 国 现 有 安全 体系 的 补充 和 拓展 


商业 部 署 前 商业 部 署 后 
部 署 于 国家 权威 检测 机 构 中 部 署 于 开放 市 场 的 商用 服务 器 中 
。 CPU 安全 检测 平台 。 存量 和 增 量 问题 均 有 考虑 
天 霄 医 阔 


所 侣 
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传统 软件 安全 架 DSC 增 强 软件 安 全 架 
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四 、 技 术 应 用 探讨 - 对 现 有 可 信 计 算 体系 的 扩展 


将 可 信 计 算 的 度量 扩展 
到 CPU 硬件 层 ， 实 现 对 
CPU 指令 的 动态 度量 。 


共和 国 国家 标准 


GB/T 25070 一 2019 
代替 GB/T 25070 一 2010 


可 信和 软件 基 (TSB， 


本 信息 安全 技术 
二 全 网 络 安全 等 级 保护 安全 设计 技术 要 求 


AN 信 立 
计算 部 件 Information security technology 一 
下 chnical requirements of security design for classified protection of cybersecurity 


可 信 密 码 模块 (TCMD) 
创新 主动 免疫 体系 结构 等 保 2.0 (国家 标准 ) 将 于 2019.12.1 实 施 
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[1] 沈 昌 祥 ， 用 可 信 计 算 筑 牢 网 络 安全 防线 ，2017 年 报告 
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四 、 技 木 应 用 探讨 - CPU 安全 可 控 国 家 标准 


“必要 时 可 通过 技术 手段 等 方式 进行 评价 ”.…… 
“通过 技术 手段 等 方式 进行 评价 的 ， 评 价 结果 可 作为 打分 依据 ”.…… 


中 央 处 理 器 安全 可 控 评价 指标 项 及 指标 


1CS 35.040 
L 80 


。| 根据 产品 供应 方 所 提供 的 知识 产权 拥有 情况 、 获 得 外 
等 相关 材料 ,对 其 产品 知识 产权 进行 评价 


况 及 知识 产权 到 扫 情 况 
根据 产品 供应 方 所 提供 的 芳 


的 直 袍 世 际 去 才 蝎 大 
其 设计 实现 吉明 性 进行 评价 ,必要 时 可 通过 技术 手段 等 方式 进行 主 价 
对 产品 设计 验证 环境 、 设 计 辟 证 充 分 性 ` 议 计 难 证 区 冰 划一 要 年 村 进行 评价 , 必 妥 
时 可 通过 技术 手 狼 等 方式 进行 评价 


中 华人 民 共 和 国 国 家 标准 


GB/T 36630.2 一 2018 


对 产品 所 透 配 操作 系统 的 安全 可 控 程度 和 密 色 合 规 性 * 进行 评价 ,必要 时 可 通过 技术 
测试 的 方式 精 助 评价 


扎 供 应 能 力 | 对 产品 供应 方 的 产品 供应 铺 况 和 核心 国共 情况 进行 评价 
诡 链 保障 能 力 | 对 产品 设计 环节 、 流 片 环节 、 记 装 环节 、 测 试 环节 的 供应 链 保障 能 力 进行 评价 
对 产品 供应 方 服务 及 时 性 和 服务 质 短 进 行 评价 


央 处 理 加 产 品 相关 知识 产 ,包括 但 不 限于 商标 著作权、 专利 .集成 电路 布 因 、 


拥有 专业 的 本 地 服务 团队 ,能 够 提供 原 厂 设 服务 ,具备 面向 全 国 范围 内 的 
产品 度 用 方 做 出 服务 响应 的 能 力 ,能 提供 及 时 有 效 的 服务 。(4 分 》 
拥有 专业 的 本 地 根 务 团队 ,具备 面向 全 上 国 范围 内 的 产品 应 用 方 做 出 椭 务 响 | 
应 的 能 力 ,能 提供 及 时 有 效 的 服务 。(2 分 》 

设 有 专业 的 本 地 联 务 团队 ,或 不 能 提供 及 时 有 效 的 服务 。(0 分 》 
有 明确 的 产品 服务 质量 承诺 ,建立 了 全 面 的 产品 服务 体系 ,能 够 保证 产品 
服务 过 程 的 安全 性 。(4 分 ) 
没有 明确 的 产品 服务 质量 承诺 或 有 承诺 不 最 行 ,或 没有 建立 产品 服务 体 | 


信息 安全 技术 
信息 技术 产品 安全 可 控 评 价 指标 
第 2 部 分 :中 央 处 理 顺 


样 不 请 足 真实 性 要 求 。 
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Haaeeeaesae/ 二 一 


可 重 构 计 算 密 码 处 理 器 


大 规模 MIMO 检 测算 法 VLSI 架构 
对 兰 浊 王 - 排 3 天 少 军 凋 一 一 们 用 电 让 及 动态 重 构 实现 


刘 攻 法 球员 天 村 少 噩 本 


Doo 


8 


Leibo Liu 
Bo Wang 
Shaojun Wei Leibo Liu. Guiqiang Peng .Shaojun Wei 


Reconfigurable Massive MIMO 


| Detection 
Sigapou Algorithm and 


VL9I Architecture 
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CCTTV/ 2 


世界 囊 隘 网 领先 可 技 成 旺 发 布 生动 ( 2018 ) 疗 纪 
= 工 


清华 大 学 


Tsinghua Unversity 


CPU 硬件 安全 动态 监测 管控 技术 


全 
Dynamic Check and Control Technology for CPU Hardware Security Am 由 小 从 才 太 疏 测 符 控 技 太 
(U 呈 7 中 AI NA] 了 | 
Deani Chetkand Contol jechnolbgyforCPU Hardware Securnity 
经 第 五 届 “ 世 界 互联 网 大 会 .乌镇 峰会 ”世界 互联 网 领先 科技 成 果 推 荐 委员 会 推荐 ， | 7 
作为 世界 互联 网 锁 先 科技 成 果 发 布 ， 兹 以 还 明 。 过 罗 久 共 们 大 机 “ 业 
Th 帮 io cr Inat your achyvernent /ecorpended by Ine Recommendation Commalee lor Word Leading inemet Scenesic JE CUandREtsd Ecoocen 
nd Technalogici Achyevemerts ol the 5 Workd interret Corierence (WIC) 上 released oa the Worid Leeding eerret 


Scenelic and iechnoloDecal Actsevernent 


2 (人 .JE 天 8 CPU 居于 妥 人 于 坟 量 和 技 术 
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一 、 技 术 表 景 

二 、 我 国 现 有 应 yj 方案 

三 、CPU 和 硬件 安全 动态 监测 售 控 技术 
四 、 拉 术 应 用 探讨 


五 、 总 结 
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五 、 总 结 


。 心 卢 硬 件 安全 占 题 比 想 和 象 的 来 得 更 快 、 更 严重 
。 我国 服务 器 CPU 一 段 时 期 内 依赖 进口 ， 硬 件 安全 问题 突出 


。 提 升 心 请 硬件 安全 性 : 软件 手段 + 行政 手段 ， 效 果 并 不 明显 


。 软 硬结 合 是 解决 CPU 硬件 全 问题 的 天 键 手段 
。 “CPU 必 片 硬件 安全 动态 监控 + 软件 技术 ”是 有 效 手段 之 一 


入 2 


Thanks 


山 册 天 注 ! 


